系統設定與維護
系統設定 彙整了執行模式、Tunnel 資源、憑證工具、閘道、工作階段、功能開關及維護操作。各分頁會依執行模式與部署能力動態顯示；找不到某個分頁時，應先確認目前平台與執行模式，而不是反覆重新整理頁面。
各部署方式的能力差異
| 能力 | 原生飛牛 FPK | Docker | OpenWrt | Linux 服務 | macOS | Synology DSM 7 SPK | Windows x86_64 |
|---|---|---|---|---|---|---|---|
| 直連模式與 Host 防火牆 | 支援，Process 必須具備主機權限 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 |
| 智慧連線 | 支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 |
| Web 終端機 | 遠端 SSH + 可選本機 PTY | 僅遠端 SSH | 遠端 SSH + 可選本機 PTY | 遠端 SSH + 可選本機 PTY | 遠端 SSH + 可選本機 PTY | 僅遠端 SSH | 僅遠端 SSH |
| 內建 FRP / Cloudflared | 支援 | 支援 | 支援 | 支援 | 支援 | 支援 | 不支援 |
| SSH 安全性 | 支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 |
| 自動 HTTPS | 支援 | 不支援 | 不支援 | 支援，必須可使用 80 連接埠 | 支援，需手動打通防火牆與 Inbound 流量 | 不支援 | 支援，但仍須打通 Windows Inbound 流量 |
| ACME DNS-01 | 支援 | 支援 | 支援 | 支援 | 支援 | 支援 | 支援，使用內建 Client |
| 系統時間同步 | 支援 | 不支援 | 支援 | 不支援 | 不支援 | 不支援 | 不支援 |
| 飛牛 SSL 憑證庫同步 | 支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 | 不支援 |
| 安裝更新 | 透過 Web UI 更新 | Pull 新 Image | 安裝符合 Firmware 的 IPK／APK | 依安裝方式手動更新 | sudo knock update | 從 DSM 套件中心安裝 SPK | Windows 管理程式 |
| 獨立管理面板密碼 | 使用 fnOS/CGI 入口 | 支援 | 支援 | 支援 | 支援；管理入口僅限本機 127.0.0.1 | 使用 DSM 桌面 CGI 入口 | 支援；管理入口僅限本機 127.0.0.1 |
上表以後端回報的 Runtime 能力為準。部分功能入口會顯示為無法使用並附上原因，另一些則會直接隱藏。OpenWrt 不再提供直連、Host 防火牆管理或智慧連線；仍可執行 Host 路由、通訊協定映射及內建 Tunnel，但連接埠放行由 OpenWrt 防火牆負責。Windows 不提供直連、內建 FRP / Cloudflared、智慧連線或 SSH 安全性；其閘道預設在所有 Interface 上監聽 7999，但外網是否能連入仍取決於防火牆規則、NAT 與網路政策。Synology DSM 7 SPK 同樣不提供直連、Host 防火牆、智慧連線或 SSH 安全性。完整標準 FPK、OpenWrt、Linux 服務與 macOS 的 Web 終端機可啟用本機 PTY，但預設關閉；Docker、Synology、Windows、Lite 與開發環境只提供遠端 SSH。
若 fnOS 裝置上的應用程式名稱為 敲門 knock Lite，它是原生 Non-root 精簡套件，不等同於上表的完整 FPK：支援 Host 反代、驗證、DDNS、憑證、WAF、內建 Tunnel、監控與遠端 SSH Web 終端機，但不提供本機 PTY、直連與 Host 防火牆、網路最佳化、飛牛憑證庫同步或應用程式內更新。需要完整 Host 整合能力時，請先匯出 Lite 備份並停止 Lite，再安裝官網標準 FPK 後匯入；請勿讓兩個執行個體同時占用連接埠。
設定導覽
| 分頁或區域 | 顯示條件與管理內容 | 詳細說明 |
|---|---|---|
模式 | 永遠顯示；選擇直連、內網穿透或子網域模式及其路由方式 | 執行模式參考 |
FRP、Cloudflared | 使用內網穿透模式，且平台具備對應能力時顯示；下載並安裝 Tunnel 執行檔 | 內網穿透 |
ACME | 平台支援且不是 Windows 時顯示；管理 acme.sh 資源與預設 CA | TLS 憑證 |
屬地 | 設定 IP 地理位置資料庫與 CIDR 位址庫 | IP 地理位置 |
fnOS | 管理飛牛分享直通、連接埠圖示接管、可用的網路最佳化，以及標準 FPK 的 FN Connect WAF 接入 | 飛牛分享直通、WAF |
攔截 | Scanner 防火牆、觸發時間窗、門檻及豁免 | Scanner 攔截 |
功能 | 日期時間顯示、首頁入口狀態、fnOS 控制台應用程式列、Passkey 綁定提示、自動 HTTPS、SSH 安全性、協定映射、遠端喚醒、側邊欄排序及智慧連線入口 | 遠端喚醒及各功能文件 |
閘道 | 驗證快取、反代節流、Crawler 攔截、Portal、可見性及 Host 層級轉送選項 | 請參考本頁後續章節 |
更新 | 檢查更新與發行說明；安裝方式依部署平台而定 | 控制台與系統更新 |
WAF、Log | HTTP 規則防護及結構化 Request Log | WAF、Request Log |
終端機 | 所有發行平台顯示；管理遠端 SSH 目標與工作階段，並在支援的平台啟用本機 PTY | Web 終端機 |
工作階段 | 一般工作階段、記住我、登入後 IP 授權及 IP 漂移 | 工作階段與 IP 軌跡 |
面板 | Docker、OpenWrt、Linux 與 Windows 顯示；修改或重設獨立管理面板密碼 | 請參考本頁後續章節 |
Challenge | 登入前使用 PoW 或 Cloudflare Turnstile | Challenge |
維護 | 自動備份、手動匯出、匯入及清空資料 | 請參考本頁後續章節 |
側邊欄選單順序
在 系統設定 → 功能 → 側邊欄選單排序 中拖曳選單項目，可調整目前 Instance 左側導覽的顯示順序。拖曳結束後會自動儲存；若要移除所有自訂順序，請按一下 還原預設順序。
排序頁只會列出目前執行模式與功能開關下可見的入口。暫時隱藏的入口仍會保留在完整順序中的位置，之後重新啟用功能或切換模式時會回到原本的相對位置，不會被任意附加到最後。此設定只改變導覽順序，不會啟用、停用或授予任何功能權限。
桌面側邊欄可折疊為圖示列，狀態儲存在執行個體的顯示設定，重新整理後保留；儲存失敗會提示錯誤並恢復原狀態。
日期時間顯示方式
系統設定 → 功能 → 日期時間顯示方式 控制管理介面中支援此元件的時間欄位：
人類友好是預設值，顯示「幾分鐘前」、「昨天」等相對時間；滑鼠停留或在觸控裝置上點擊可查看完整日期時間。完整時間直接顯示本地化的完整日期時間；滑鼠停留或點擊時改為補充相對時間。
此設定會儲存至執行個體設定並統一套用於管理介面，不會修改伺服器時區、系統時鐘、Log 原始時間或協定映射定時規則。排查排程工作時仍應以伺服器時間與時區為準。
fnOS 控制台應用程式列
飛牛標準 FPK 與 敲門 knock Lite 可在 系統設定 → 功能 開啟 在控制台頂端顯示應用程式清單。此功能預設關閉；開啟後，管理內容區頂端會顯示可水平捲動的應用程式捷徑列，點擊項目會在新分頁開啟對應服務位址。Docker、OpenWrt、Linux、Synology 與 Windows 不會顯示此開關。
使用 Host 路由時，應用程式列顯示已啟用的非認證 Host，沿用傳送門名稱、圖示與分組順序；沒有可用 Host 時，路徑模式依已儲存的路徑映射生成入口。公開連結使用閘道設定的對外協定與連接埠，不跟隨管理頁面的 HTTP / HTTPS。FRP 使用公網 HTTPS 連接埠，託管通道與邊緣入口省略相應標準連接埠。開啟智慧區域網路判斷後，應用程式列也依來源選擇適用的上游連結；回環、無效目標與靜態映射保持閘道入口。
應用程式列開關不會啟用或公開映射。閘道連結仍依映射鑑權與服務範圍處理；區域網路直連使用上游應用程式的認證。清單空白時檢查可用映射，連結失敗時核對公網入口或內網路由，詳見閘道傳送門。
執行模式切換與智慧連線回退
切換執行模式會先儲存候選設定，再依序同步智慧連線、閘道路由與平台 Runtime 狀態，並避免各同步步驟互相等待。切換期間不要關閉頁面，完成後依結果訊息驗證新的入口路徑。
在支援智慧連線的飛牛標準 FPK 上，若切換模式時本機 IP 或 dnsmasq 同步失敗，fn-knock 仍會完成模式切換，但自動關閉智慧連線並顯示警告，避免 DNS Split-horizon 失敗阻塞整個操作。請先檢查本機 IP、根網域與 dnsmasq 寫入權限，再從 系統設定 → 功能 重新啟用智慧連線。若閘道路由或防火牆套用本身失敗，系統仍會嘗試回復原設定；應保留 LAN 或 Console 入口並查看錯誤，不要連續切換多種模式。
飛牛標準 FPK 的額外防火牆連接埠
具備 Host 防火牆能力的飛牛標準 FPK，可在 系統設定 → 模式 → 操作 → 額外放行的連接埠 保留 fn-knock 自動管理範圍之外的連接埠。Docker、OpenWrt、Linux、Synology、Windows 與 敲門 knock Lite 不會顯示此操作；這些部署應改在 Host、路由器或 Cloud Firewall 管理連接埠。
視窗分別顯示系統自動放行項目、使用者額外放行項目與目前有效清單。點選 新增連接埠 或 新增連接埠範圍，單一連接埠與範圍合計最多 128 筆。連接埠必須是 1–65535 的整數，範圍包含兩端，起始值必須小於結束值；單一連接埠不可重複，範圍不可互相重疊或涵蓋手動新增的單一連接埠。每筆同時放行 TCP 與 UDP。
例如 FTP 可新增控制連接埠 21，以及與伺服器設定一致的被動範圍 50000–51000。點選 儲存並套用 後核對有效清單；未儲存的新增或刪除僅修改草稿。系統自動放行項目不必重複新增，只新增確實需要對外開放的服務連接埠。
儲存行為依後端目前已儲存的執行模式決定：
- 直連或子網域模式會立即依目前模式重設
FN-KNOCK-FW，合併自動與額外連接埠。 - 內網穿透模式不建立
FN-KNOCK-FW；清單會保留，之後切換至直連或子網域模式時再納入規則。 - 關閉
自動處理系統防火牆後，切至子網域模式需要從操作手動重設；直連模式仍會處理防火牆。 - 頁面上尚未儲存的模式選擇不會參與本次操作；對話框顯示的「目前已儲存模式」才是實際依據。
儲存會整體重設 fn-knock 的受管 Chain，不會取代路由器 Port Forwarding、Cloud Security Group 或 Upstream 服務自身的驗證。移除額外連接埠前，請先確認沒有遠端管理路徑依賴它。
閘道基本設定
系統設定 → 閘道 頂端的設定儲存後會同步到 Go 閘道。Host 層級編輯器僅能在採用 Host 路由的子網域模式中使用；驗證服務 Host 不會出現在可編輯清單中。
這些頂端選項須點擊 儲存設定 才會生效，包括映射選擇頁及停用網域後行為；傳送門設定內的開關則在變更時個別儲存。
| 設定 | 行為與注意事項 |
|---|---|
成功鑑權快取時長 | 快取同一 Client 與同一驗證 Target 的成功結果；0 代表每次 Request 都即時驗證 |
失敗鑑權快取時長 | 快取未通過驗證的結果；0 代表不重複使用拒絕結果。排查剛修改的權限時，須留意舊的失敗結果是否尚未過期 |
啟用網關反代節流 | 依 Client IP 使用每秒 Request 數及 Burst Token 控制流量；超過限制後，會在設定時間內直接中斷連線 |
攔截爬蟲請求 | 攔截閘道辨識到的 Crawler 存取；這無法取代 WAF，也不會阻擋繞過閘道的 Request |
未匹配路由 | 顯示錯誤頁面 會回傳友善頁面；阻斷連線 會直接終止未命中任何路由的 Request |
上游異常時顯示錯誤資訊 | 預設 顯示較少；可選 顯示更多，或用 阻斷連線 直接中止異常請求而不顯示錯誤頁 |
傳送門設定 | 控制登入後的應用程式切換入口 |
可見性 | 依地區或 CIDR 限制哪些來源能連到閘道 |
協議頭 | 控制閘道是否向指定 Target 傳送 X-Forwarded-* |
Host 回應 | 控制閘道是否向指定 Target 保留訪客 Request 的 Host |
路徑回應 | 為服務 Host 加入 Path-based Reverse Proxy 或固定回應 |
反代節流的初始設定為每個 Client IP 每秒 100 個 Request、200 個 Burst Token，超過限制後封鎖 30 秒。遭節流機制直接中斷的 Request 不會寫入 Request Log；若看到 Client 斷線，卻找不到對應記錄，也要檢查這一層。頁面上的 Host 層級開關最終會依 Target 編譯：多個 Host 指向完全相同的 Target 時，會共用協議頭與 Host 保留行為。
未匹配路由與上游錯誤
未匹配路由預設使用 顯示錯誤頁面，回傳歡迎、選擇或錯誤提示。選擇 阻斷連線 後，HTTP/1.x 會重設連線，HTTP/2 會中止目前 Stream；預設網域 Fallback 也會暫時停用，但已儲存的預設網域設定會在切回錯誤頁面時恢復使用。Request Log 會將這類請求標記為未匹配網域阻斷。
上游異常時顯示錯誤資訊 預設選擇 顯示較少：訪客只會看到上游無法使用，不會取得內部 IP、連接埠或連線失敗原因。顯示更多 會回傳完整連線錯誤，可能洩漏網路拓撲，只應在受控環境短時間排查。選擇 阻斷連線 後，上游連線失敗時不會產生錯誤頁，而會直接重設 HTTP/1.x 連線或中止目前的 HTTP/2 Stream；Client 會看到連線突然中斷。
手動停用網域的回應
系統設定 → 閘道 的停用網域後行為預設顯示阻止頁面，提示服務無法使用。選擇中斷連線後不回傳頁面：HTTP/1 關閉連線，HTTP/2 與 HTTP/3 中止目前串流。此設定只影響手動停用的子網域，不改變非允許時段的提示，也不取代未匹配路由或上游異常政策。
映射選擇頁有獨立開關，詳見閘道內建頁面。關閉後，原本進入選擇頁的請求也依未匹配路由政策處理。
修改設定後的驗證順序
- 先在區域網路內保留一個可用的管理入口。
- 修改執行模式、Host、憑證或閘道設定後，等待頁面提示 Runtime 同步完成。
- 以無痕視窗驗證登入流程，再從真實外網測試服務 Host。
- 在 Request Log 中核對 Client IP、路由類型、驗證結果及 Upstream Target。
- 到事件中心檢查同步、憑證、Tunnel 或通知錯誤。
針對閘道節流、WAF 與 Scanner 攔截，建議先以觀察模式和較寬鬆的設定起步。這些功能可能影響 Health Check、第三方 Callback、應用程式更新或 Client 長連線。
備份與還原
維護頁自動或手動產生的 .knock 封裝檔包含設定、憑證私鑰、TOTP seed 及多種服務憑據，應視為明文密鑰備份。自動備份預設關閉；啟用後儲存在伺服器資料目錄，並可設定執行間隔與保留天數。若與目前資料位於同一磁碟或 Container Volume，仍不足以取代異機備份。匯入並不是 Merge：它會取代目前 fn-knock 的應用程式資料，再同步閘道、WAF、SSL 等 Runtime 狀態；若出現同步警告，系統不會自動整體 Rollback。
封裝檔安全性、版本與 128 MiB 限制、各平台入口、完整還原驗收及失敗處理方式，請參考備份、還原與資料清理。應用程式備份不等同於檔案系統或 Container Volume 備份，也不包含外部 DNS、Host 防火牆及 Upstream 應用程式資料。
清空所有資料
系統設定 → 維護 → 清理 → 清空所有資料 用於將目前 Instance 徹底初始化。操作前必須輸入 清空所有資料 確認；系統會清除後端設定、帳號、工作階段、Log 及其他應用程式儲存資料，並清空目前瀏覽器的本機資料後重新載入頁面。
資料庫結構及已匯出的備份檔不會自動替你還原內容。此操作無法復原：只有在確認備份可用，且確定要重新初始化 Instance 時才可執行。
HTTP/3
在 系統設定 → 閘道 → HTTP/3 啟用，預設關閉。需有有效 TLS 憑證，且用戶端能透過 UDP 到達閘道。預設需額外開放 7999/udp 並保留 TCP。Docker 需發布 UDP Port，OpenWrt、路由器與主機防火牆需各自設定；開關不會完成整條入站路徑。
公網通告 Port 填寫用戶端實際連接的 UDP Port，0 表示使用本機 Port。此欄只改變通告，不建立轉送。畫面的本機監聽狀態與連線統計不能證明公網 UDP 可達。使用 CDN 或 Cloudflare Tunnel 時，瀏覽器到邊緣的 HTTP/3 也不代表回源使用 HTTP/3。應透過外部網路查看瀏覽器網路面板的協定並核對監聽狀態。
管理面板密碼
Docker、OpenWrt、Linux 與 Windows 的管理面板密碼，都與訪客的閘道登入憑據分開。忘記面板密碼時，請使用對應部署文件中的重設指令或管理程式；重設只會清除面板密碼、面板工作階段及登入退避狀態，不會刪除服務映射或憑證設定。